SSL Sertifikası Kurulumu: Let's Encrypt

01Let's Encrypt ve Certbot Nedir?

Let's Encrypt, kâr amacı gütmeyen ISRG tarafından işletilen ve alan adı doğrulamalı (DV) sertifikaları ücretsiz veren bir sertifika otoritesidir. Sertifikanın ne işe yaradığını ve türlerini merak ediyorsanız önce SSL sertifikası nedir yazımıza bakabilirsiniz.

Certbot ise EFF'nin geliştirdiği, Let's Encrypt ile ACME protokolü üzerinden konuşan resmî istemcidir. Sertifikayı ister, alan adının size ait olduğunu doğrular, Nginx ya da Apache ayarını yapar ve yenilemeyi zamanlar.

Let's Encrypt sertifikaları kısa ömürlüdür; varsayılan geçerlilik 90 gündür ve kuruluş bu süreyi kademeli olarak kısaltacağını duyurmuştur. Bu yüzden elle yenileme yerine her zaman otomatik yenilemeye güvenin.

02Kurulumdan Önce Kontrol Listesi

Certbot'un en sık başarısız olduğu nokta alan adı doğrulamasıdır. Aşağıdaki maddeler tamamsa kurulum genellikle birkaç dakikada biter.

• Alan adının A ve AAAA kayıtları doğru sunucu IP'sini gösteriyor (AAAA kaydı varsa IPv6 tarafında da site yanıt vermeli)
• Sunucuda 80 ve 443 portları güvenlik duvarında açık
• Nginx ya da Apache çalışıyor ve alan adı için bir sunucu bloğu ya da sanal konak tanımlı
• Sunucuya SSH ile sudo yetkili bir kullanıcıyla bağlanabiliyorsunuz
• Cloudflare gibi bir vekil kullanıyorsanız ilk kurulumda proxy ayarını biliyorsunuz

dig +short ornek.com A
dig +short www.ornek.com A
sudo ufw status
# Nginx kullanıyorsanız
sudo ufw allow 'Nginx Full'

03Certbot Kurulumu Adım Adım

Certbot'un resmî sitesi certbot.eff.org Ubuntu ve Debian için snap paketini önerir; böylece Certbot dağıtımdan bağımsız olarak güncel kalır. Snap kullanmak istemezseniz dağıtımın kendi apt paketleri de çalışır.

Snap ile (önerilen)

Sistemde daha önce apt ile kurulmuş bir certbot paketi varsa çakışmayı önlemek için önce onu kaldırın.

sudo apt remove certbot
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot
certbot --version

apt paketiyle

Bu yöntemde web sunucusuna uygun eklenti paketini de kurmanız gerekir.

sudo apt update
# Nginx için
sudo apt install certbot python3-certbot-nginx
# Apache için
sudo apt install certbot python3-certbot-apache

04Sertifikayı Alma ve Sunucuya Kurma

Certbot, eklentisi sayesinde mevcut yapılandırmanızı okur ve server_name ya da ServerName değerlerine göre hangi alan adları için sertifika alacağını sorar. Hem çıplak alan adını hem www sürümünü aynı sertifikaya eklemek en sağlıklısıdır.

Komut sırasında bir e-posta adresi ve kullanım koşullarını kabul etmeniz istenir. Certbot doğrulama için geçici bir dosyayı .well-known/acme-challenge yolunda yayınlar, Let's Encrypt bu dosyayı 80 portundan okuyarak alan adının size ait olduğunu doğrular.

• Sertifika dosyaları /etc/letsencrypt/live/ornek.com/ altında tutulur.
• fullchain.pem sunucu sertifikası ile ara sertifikayı birlikte içerir; web sunucusunda bunu kullanın.
• privkey.pem özel anahtardır; hiçbir yere kopyalamayın ve paylaşmayın.

sudo certbot --nginx -d ornek.com -d www.ornek.com

sudo certbot --apache -d ornek.com -d www.ornek.com

sudo certbot certonly --webroot -w /var/www/ornek.com/html \
  -d ornek.com -d www.ornek.com

05Otomatik Yenileme Nasıl Kurulur?

Snap ve apt paketleri kurulumla birlikte bir systemd zamanlayıcısı ya da cron görevi ekler. Bu görev günde birkaç kez çalışır ve süresinin dolmasına yaklaşan sertifikaları yeniler. Yapmanız gereken tek şey yenilemenin gerçekten çalıştığını test etmektir.

Let's Encrypt süre dolum uyarı e-postalarını göndermeyi bıraktığı için sertifika bitiş tarihini kendi izleme aracınızla takip etmek iyi bir alışkanlıktır. Yenilemeden sonra web sunucusunun yeni sertifikayı okuması için bir yenileme kancası (deploy hook) da tanımlayabilirsiniz.

sudo certbot renew --dry-run
sudo certbot certificates
systemctl list-timers | grep -i certbot

# Her başarılı yenilemeden sonra Nginx'i yeniden yükleyen kanca
echo '#!/bin/sh
systemctl reload nginx' | sudo tee /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

06HTTPS Yönlendirmesi ve Karışık İçerik

Certbot'un Nginx ve Apache eklentileri, HTTP isteklerini HTTPS'e yönlendiren kuralı genellikle sizin yerinize ekler. Elle yapmak isterseniz kalıcı 301 yönlendirmesi kullanın; böylece arama motorları eski adreslerin değerini yeni adrese taşır.

Apache kullanan paylaşımlı barındırmalarda aynı işi .htaccess dosyasıyla yaparsınız; ayrıntılı kurallar htaccess yönlendirme rehberimizde. Yönlendirmeden sonra sayfada hâlâ http:// ile çağrılan görsel, betik ya da font varsa tarayıcı karışık içerik uyarısı verir; bu adresleri https ya da göreli yolla değiştirin.

server {
    listen 80;
    listen [::]:80;
    server_name ornek.com www.ornek.com;
    return 301 https://ornek.com$request_uri;
}

07HSTS ve Güvenli TLS Ayarları

Yönlendirme çalıştıktan sonra HSTS başlığıyla tarayıcıya sitenizi bundan sonra yalnızca HTTPS ile açmasını söyleyebilirsiniz. Bu başlık, ilk ziyaretten sonra araya girilerek bağlantının HTTP'ye düşürülmesini engeller.

HSTS'i aceleyle uzun süreli açmayın. Alt alan adlarınızdan biri hâlâ HTTPS desteklemiyorsa o adrese erişim kesilir. Önce kısa bir max-age değeriyle deneyin, her şey sorunsuzsa süreyi uzatın; includeSubDomains ve preload seçeneklerini ancak tüm alt alan adlarının hazır olduğundan eminken ekleyin.

Certbot'un Nginx ve Apache eklentileri güncel ve güvenli TLS protokol ayarlarını içeren bir yapılandırma dosyası ekler. Eski TLS 1.0 ve 1.1 sürümlerini kapalı tutun; sunucunuzun yapılandırmasını SSL Labs gibi herkese açık test araçlarıyla periyodik olarak kontrol etmek, gözden kaçan zayıf bir ayarı erkenden fark etmenizi sağlar.

# 443 sunucu bloğunun içine
add_header Strict-Transport-Security "max-age=300" always;

08Doğrulama ve Sık Hatalar

Kurulumu tarayıcıdaki kilit simgesiyle yetinmeden komut satırından da doğrulayın. Aşağıdaki komutlar sertifikanın kim tarafından verildiğini, bitiş tarihini ve yönlendirme zincirini gösterir.

curl -I http://ornek.com
curl -I https://www.ornek.com
openssl s_client -connect ornek.com:443 -servername ornek.com </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer -dates

09Joker Sertifika, Windows ve Paneller

*.ornek.com biçimindeki joker (wildcard) sertifika yalnızca DNS doğrulamasıyla alınır. Certbot'un DNS sağlayıcınıza özel eklentisi varsa yenileme otomatik olur; --manual yöntemiyle alınan sertifikalar ise her seferinde elle TXT kaydı eklemenizi ister.

Windows Server ve IIS kullanıyorsanız ACME protokolünü destekleyen Windows istemcileriyle aynı sonuca ulaşabilirsiniz. Barındırma panelleri çoğunlukla Let's Encrypt desteğini tek tıklık bir seçenek olarak sunar; bu durumda sunucuya komut yazmanız gerekmez.

HTTPS, hız ve güvenlik çalışmasının yalnızca bir parçasıdır. HTTP/2, önbellek başlıkları ve sıkıştırma ile birlikte ele alındığında hem güven hem performans kazanırsınız; SEO uyumlu web tasarımı projelerimizde bu katmanları baştan planlıyoruz.

sudo certbot certonly --manual --preferred-challenges dns \
  -d ornek.com -d "*.ornek.com"